Tìm hiểu cách tạo thẻ điểm đánh giá nhà cung cấp, tự động hóa các bảng câu hỏi đảm bảo và phát hiện các khu vực rủi ro đối với tổ chức do nhà cung cấp gây ra.
Việc xác thực nhà cung cấp bên thứ ba đã trở thành một phần không thể thiếu của an ninh mạng, mua sắm, tuân thủ, và chuỗi cung ứng. Trước đây, chúng tôi đã thảo luận về các thực hành chung đằng sau thẻ điểm đánh giá; trong bài viết này, chúng ta sẽ thảo luận về việc tạo thẻ điểm đánh giá nhà cung cấp, sử dụng quản lý rủi ro nhà cung cấp làm ví dụ.
Vendor Risk Management Scorecard. Chúng tôi sẽ trình bày cách:
- Xác định tiêu chí đánh giá,
- Tính toán điểm số an ninh tổng thể,
- Thu thập bằng chứng cần thiết,
- Theo dõi điểm số an ninh một cách động, và
- Liên kết kết quả với các thẻ điểm chức năng khác.
Xu hướng xác minh nhà cung cấp: Định lượng và quy trình liên tục
Xác định bộ tiêu chí đánh giá
Tuân theo các thực hành tốt nhất hiện nay để xác định bộ tiêu chí đánh giá cho thẻ điểm rủi ro nhà cung cấp.
Điều này có thể bao gồm:
Sự tồn tại của chương trình an ninh mạng chính thức
Triển khai xác thực đa yếu tố
Kiểm tra lỗ hổng thường xuyên
Áp dụng thực hành ‘Quyền tối thiểu’
Tuân thủ SOC 2 của trung tâm dữ liệu
Mã hóa dữ liệu trong quá trình truyền tải và lưu trữ
Bảo hiểm an ninh mạng
Hệ thống ngăn chặn và phát hiện xâm nhập
Đào tạo nhận thức an ninh mạng
Các sự cố vi phạm dữ liệu được báo cáo
Số lượng sự cố vi phạm dữ liệu được báo cáo
Tùy thuộc vào loại tiêu chí, nó có thể được cấu hình như sau:
- Nhị phân – với các trạng thái có thể là “có” hoặc “không.”
- Định lượng (ví dụ, đo lường bằng %) hoặc định tính (lựa chọn tự nhiên hoặc thang đo Likert).
- Tiêu chí có thể được tối ưu hóa để tối đa hóa (như % nhân viên đã qua đào tạo nhận thức an ninh mạng) hoặc tối thiểu hóa (như số lượng sự cố vi phạm dữ liệu).
Tìm hiểu thêm về các thực hành tốt nhất để quản lý thẻ điểm đánh giá.
Trong BSC Designer:
- Chuyển sang Không gian làm việc chiến lược.
- Đi đến Mới > Thẻ điểm mới > Nhiều mẫu hơn…
- Sử dụng mẫu thẻ điểm “Quản lý rủi ro nhà cung cấp.”
Gán trọng lượng tùy thuộc vào hồ sơ rủi ro
Cân nhắc các tiêu chí đánh giá theo hồ sơ rủi ro của nhà cung cấp.
Ví dụ:
- Nhà cung cấp có quyền truy cập vào thông tin nhạy cảm sẽ có trọng lượng cao cho các tiêu chí như “Bảo hiểm an ninh mạng” hoặc “Báo cáo vi phạm dữ liệu,” trong khi
- Nhà cung cấp không có quyền truy cập vào thông tin nhạy cảm sẽ có trọng lượng cao cho các tiêu chí phổ biến hơn như “Xác thực đa yếu tố” và việc thực hiện “Nguyên tắc quyền tối thiểu.”
Trong BSC Designer:
- Chọn một tiêu chí đánh giá.
- Chuyển sang tab Hiệu suất.
- Điều chỉnh trọng lượng phù hợp trong thuộc tính Trọng lượng.
Xây dựng thứ bậc của nhà cung cấp
Nhóm các nhà cung cấp vào một thứ bậc dựa trên cấp độ nhà cung cấp. Truyền tiêu chí đánh giá cho mỗi nhà cung cấp.
Trong BSC Designer:
- Tạo nhóm bằng cách sử dụng nút “Thêm”,
- Sao chép và dán một tập hợp tiêu chí đánh giá vào từng nhóm, và
- Đổi tên tập hợp để khớp với tên nhà cung cấp.
Khi sao chép và dán, hãy cân nhắc sử dụng tùy chọn “Dán & Đồng bộ” để đảm bảo rằng các bản sao của tiêu chí đánh giá luôn đồng bộ với mẫu gốc. Bất kỳ thay đổi nào đối với mẫu sẽ được tự động truyền đến tiêu chí đánh giá cho các nhà cung cấp cụ thể.
Xây dựng và phân phối bảng câu hỏi
Chuẩn bị và phân phối bảng câu hỏi bảo mật cho các nhà cung cấp, sau đó nhập kết quả trở lại vào thẻ điểm quản lý rủi ro nhà cung cấp.
Để chuẩn bị một bảng câu hỏi:
- Mở một thẻ điểm.
- Chọn một tập hợp tiêu chí.
- Chọn Công cụ > Xuất dữ liệu.
- Đánh dấu vào các ô kiểm: “Chỉ xuất mục hiện tại” và “Bao gồm các mục con”.
- Sử dụng tùy chọn “Xuất dưới dạng mẫu”.
- Nhấn “Tiếp theo” để hoàn tất xuất dữ liệu.
Hãy điều chỉnh mẫu kết quả theo nhu cầu của bạn. Ví dụ, đổi tên cột “Giá trị” thành “Câu trả lời” và cung cấp bất kỳ khuyến nghị liên quan nào cho những người trả lời bảng câu hỏi.
Khởi tạo đánh giá nhà cung cấp
Đánh giá nhà cung cấp dựa trên tiêu chí đánh giá để xác định các lỗ hổng liên quan.
- Nhập điểm đánh giá thủ công vào thẻ điểm hoặc
- Nhập khẩu từ bảng tính Excel cho bảng hỏi tự đánh giá của nhà cung cấp.
Đính kèm bằng chứng liên quan do nhà cung cấp cung cấp, chẳng hạn như chứng nhận và chính sách thực hành.
Trong BSC Designer:
- Cập nhật điểm số thủ công qua tab Dữ liệu.
- Sử dụng Công cụ > Xuất dữ liệu để xuất tiêu chí đánh giá sang Excel cho việc tự đánh giá của nhà cung cấp.
- Đính kèm bằng chứng vào tiêu chí đánh giá hoặc vào các kế hoạch giảm thiểu được trình bày qua hộp thoại Sáng kiến.
Đánh giá Rủi ro Nhà cung cấp
Chúng ta có thể sử dụng dữ liệu đánh giá nhà cung cấp để ước tính rủi ro của các vi phạm an ninh mạng đối với nhà cung cấp.
Trong trường hợp này:
- Tổng điểm của đánh giá nhà cung cấp sẽ đóng góp vào Khả năng xảy ra của rủi ro.
- Tác động của rủi ro có thể được ước tính theo vai trò của nhà cung cấp trong chuỗi cung ứng.
Để thiết lập điều này trong BSC Designer:
- Nhấp Thêm – Thêm rủi ro.
- Nhấp vào nút Nguồn Dữ liệu cho chỉ số Khả năng xảy ra.
- Thay đổi công thức thành: 100-%[Nhà cung cấp 1] (tiến trình của nhà cung cấp càng cao theo thẻ điểm, khả năng xảy ra rủi ro càng thấp).
Thêm sơ đồ rủi ro vào bảng để hình dung tổng thể bối cảnh rủi ro:
Giám sát rủi ro liên tục
Theo dõi các thay đổi trong điểm số đánh giá nhà cung cấp theo thời gian, chẳng hạn như thay đổi trong các chứng nhận liên quan hoặc số lượng vi phạm dữ liệu.
- Xác định khoảng thời gian sửa đổi cho mỗi tiêu chí đánh giá
- Giám sát vấn đề liên quan đến tiêu chí đánh giá.
- Lập kế hoạch cho cải thiện điểm số đánh giá nhà cung cấp.
- Lập kế hoạch cho việc ngừng hợp tác với nhà cung cấp.
Thẻ điểm đánh giá. Trong BSC Designer:
- Thiết lập Khoảng thời gian cập nhật cho một chỉ số thông qua Trình chỉnh sửa Giá trị
- Sử dụng Trình chỉnh sửa Giá trị để gán điểm số cho các ngày cụ thể.
- Sử dụng cột Động để xem điểm số thay đổi theo thời gian như thế nào.
- Sử dụng Sáng kiến để theo dõi vi phạm dữ liệu và các hành động giảm thiểu—cập nhật trạng thái và khoảng thời gian.
- Sử dụng nhận xét cho điểm số để theo dõi vấn đề và Sáng kiến để lập bản đồ kế hoạch cải thiện.
Liên kết với chiến lược
Liên kết thẻ điểm đánh giá rủi ro nhà cung cấp với các thẻ điểm chiến lược và chức năng khác, chẳng hạn như quản trị hoặc thẻ điểm tuân thủ.
- Sử dụng điểm số rủi ro tổng thể của danh mục nhà cung cấp.
- Sử dụng điểm số rủi ro của các nhà cung cấp cụ thể.
- Liên kết chéo các sáng kiến từ nhiều thẻ điểm khác nhau.
Một ví dụ điển hình về nhu cầu liên kết chiến lược là AI. Ngay cả khi tổ chức của bạn không có kế hoạch triển khai các công nghệ AI, nó rất có thể sẽ bị ảnh hưởng bởi việc sử dụng AI thông qua các nhà cung cấp bên thứ ba và chuỗi cung ứng. Thẻ điểm nhà cung cấp cần được liên kết với thẻ điểm chức năng quản trị AI.
Trong BSC Designer:
- Sao chép mục điểm số Nhà cung cấp và Dán nó vào thẻ điểm liên quan.
- Chọn tùy chọn “Liên kết theo dữ liệu” hoặc “Liên kết theo ngữ cảnh”.
Phiên: 'Quản lý Thẻ điểm Đánh giá với BSC Designer' có sẵn như một phần của chương trình học tập liên tục của BSC Designer, được cung cấp dưới dạng hội thảo trực tuyến và tại chỗ. Tìm hiểu thêm....
Kết luận
Trong bài viết này, chúng ta đã thảo luận về các bước để tạo một thẻ điểm quản lý rủi ro nhà cung cấp:
- Xác định tiêu chí đánh giá
- Gán trọng lượng tùy thuộc vào hồ sơ rủi ro của nhà cung cấp
- Giám sát rủi ro liên tục
- Liên kết điểm số rủi ro của nhà cung cấp với các thẻ điểm khác
Tìm hiểu thêm về cơ chế đánh giá thẻ điểm cụ thể hơn.
Sử dụng Mẫu Vendor Risk Management Scorecard
BSC Designer giúp các tổ chức thực hiện chiến lược phức tạp của họ:
- Đăng ký gói miễn phí trên nền tảng.
- Sử dụng mẫu
Vendor Risk Management Scorecard làm điểm khởi đầu. Bạn sẽ tìm thấy nó trong Mới > Thẻ điểm mới > Nhiều mẫu hơn. - Tuân theo Hệ thống Thực hiện Chiến lược của chúng tôi để liên kết các bên liên quan và tham vọng chiến lược thành một chiến lược toàn diện.
Bắt đầu ngay hôm nay và xem BSC Designer có thể đơn giản hóa việc thực hiện chiến lược của bạn như thế nào!
Alexis Savkin là Chuyên gia Tư vấn Chiến lược Cấp cao và là Giám đốc điều hành của BSC Designer, một nền tảng Thẻ điểm cân bằng. Ông có hơn 20 năm kinh nghiệm trong lĩnh vực này, với nền tảng toán học ứng dụng và công nghệ thông tin. Alexis là tác giả của “Hệ thống Triển khai Chiến lược”. Ông đã xuất bản hơn 100 bài viết về chiến lược và đo lường hiệu suất, thường xuyên phát biểu tại các sự kiện ngành, và công trình của ông thường xuyên được trích dẫn trong các nghiên cứu học thuật.